Was ist die CNIL, und welche Befugnisse hat sie gegenüber Ihrem Unternehmen?
Frankreichs Aufsichtsbehörde, mit echten Befugnissen. DSGVO-Konformität in Frankreich beginnt mit der Frage, wer sie prüft: die Commission nationale de l’informatique et des libertés, kurz CNIL, die französische Datenschutzaufsichtsbehörde. Diese unabhängige Verwaltungsbehörde ist nach Artikel 8 des französischen Datenschutzgesetzes Nr. 78-17 vom 6. Januar 1978 (loi Informatique et libertés) (Stand: Oktober 2026) die nationale Aufsichtsbehörde für die DSGVO, die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679). Sie hat den Auftrag, zu informieren, anzuleiten und zu prüfen.
Prüfungen: vor Ort, online, unter angenommener Identität
Nach Artikel 19 haben Mitglieder und befugte Bedienstete der CNIL von 6 bis 21 Uhr Zugang zu den Räumen, in denen Daten verarbeitet werden, nachdem sie die Staatsanwaltschaft unterrichtet haben; widerspricht der Inhaber der Räume, braucht der Besuch eine richterliche Genehmigung. Sie können jedes Dokument anfordern und auf Programme und Daten zugreifen. Online dürfen sie frei zugängliche Daten einsehen und, um einen Online-Dienst zu prüfen, unter angenommener Identität handeln.
Von der Warnung bis zum Bußgeld
Artikel 20 (Stand: Oktober 2026) stuft die Maßnahmen ab. Der Präsident der CNIL kann Sie warnen, Sie an Ihre Pflichten erinnern oder eine förmliche Aufforderung (mise en demeure) aussprechen, mit einer Frist, die in dringenden Fällen 24 Stunden beträgt, und diese veröffentlichen.
Die formation restreinte, der für Sanktionen zuständige Ausschuss der CNIL, kann anschließend eine Verwarnung (rappel à l’ordre) aussprechen, eine Anordnung unter Zwangsgeld von bis zu 100.000 Euro pro Tag erlassen, die Verarbeitung beschränken oder verbieten, Datenübermittlungen aussetzen und ein Bußgeld bis zu den Obergrenzen von Artikel 83 DSGVO verhängen, die die Bußgeldtabelle im Leitfaden zum Vertreter in der Union aufführt.
Wo ergänzt Frankreich die DSGVO?
An fünf Stellen, denen ein Unternehmen mit französischen Nutzern jeden Monat begegnet. Die DSGVO gilt unmittelbar; die loi Informatique et libertés füllt die Spielräume, die den Mitgliedstaaten bleiben, und setzt die ePrivacy-Richtlinie zu Cookies um; die CNIL macht aus beidem Leitlinien, Muster und Online-Dienste.
Zeile für Zeile: eine Datenschutzerklärung auf Französisch, mit Angaben zu Minderjährigen und zu Daten nach dem Tod; eine Cookie-Einwilligung durch eindeutige bestätigende Handlung, so leicht abgelehnt wie erteilt, nachgewiesen, sechs Monate gespeichert; ein Muster der CNIL für das Verzeichnis, ein Online-Dienst für den Datenschutzbeauftragten; eine französische Liste von vierzehn Verarbeitungsarten; die Online-Meldung von Datenpannen an die CNIL.
Minderjährige: fünfzehn, nicht sechzehn
Nach Artikel 8 DSGVO kann ein Kind ab 16 Jahren allein in einen Dienst der Informationsgesellschaft einwilligen; die Mitgliedstaaten dürfen bis auf 13 Jahre heruntergehen. Artikel 45 des Gesetzes Nr. 78-17 (Stand: Oktober 2026) legt für Frankreich 15 Jahre fest; darunter willigen der Minderjährige und die Träger der elterlichen Verantwortung gemeinsam ein. Informationen für Minderjährige werden in klaren und einfachen Worten verfasst.
Daten nach dem Tod
Nach Artikel 85 (Stand: Oktober 2026) kann jede Person Anweisungen zur Aufbewahrung, Löschung und Weitergabe ihrer Daten nach ihrem Tod geben: bei einem von der CNIL zertifizierten vertrauenswürdigen Dritten oder, für besondere Anweisungen, bei Ihnen, durch eine spezifische Einwilligung und niemals über Ihre Nutzungsbedingungen. Jeder Online-Dienst informiert die Nutzer darüber, was bei ihrem Tod mit ihren Daten geschieht (Artikel 85, III).
Keine vorherige Formalität für Unternehmen
Ein privates Unternehmen reicht vor der Verarbeitung keine Meldung bei der CNIL ein. Die Formalitäten, die das Gesetz in den Artikeln 31 und 32 beibehält, betreffen Verarbeitungen im Auftrag des Staates, von der öffentlichen Sicherheit bis zu biometrischen Identitätsdaten, die durch Erlass oder Dekret nach einer veröffentlichten Stellungnahme der CNIL genehmigt werden.
Was verlangt die Cookie-Einwilligung in Frankreich?
Eine Einwilligung vor jedem Tracker, der nicht unbedingt erforderlich ist, durch eine Handlung, die so leicht zu verweigern wie zu erteilen ist. Artikel 82 des Gesetzes Nr. 78-17 (Stand: Oktober 2026) setzt Artikel 5 Absatz 3 der ePrivacy-Richtlinie 2002/58/EG um: Der Nutzer wird klar und vollständig über den Zweck jedes Zugriffs auf sein Endgerät oder jeder Speicherung darin sowie über die Mittel zum Widerspruch informiert, und Zugriff oder Speicherung dürfen erst nach der Einwilligung erfolgen.
Zwei Ausnahmen, eng ausgelegt
Artikel 82 nimmt Vorgänge aus, die allein die elektronische Kommunikation ermöglichen, und solche, die für einen vom Nutzer ausdrücklich angeforderten Dienst unbedingt erforderlich sind. Die Leitlinien der CNIL vom 17. September 2020, Beschluss Nr. 2020-091 (Stand: Oktober 2026), zählen auf, was ausgenommen sein kann: der Tracker, der die Wahl des Nutzers speichert, die Authentifizierung, ein Warenkorb, die Spracheinstellung und unter Bedingungen bestimmte Tracker zur Reichweitenmessung.
Eine eindeutige bestätigende Handlung, und Ablehnen ebenso einfach
Die Einwilligung muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erteilt werden, durch eine eindeutige bestätigende Handlung. Weitersurfen, Scrollen oder ein vorangekreuztes Kästchen sind keine Einwilligung; ohne bestätigende Handlung hat der Nutzer abgelehnt. Er muss wissen, wer die Verantwortlichen sind, welche Zwecke sie verfolgen, wie er annimmt oder ablehnt, welche Folgen beides hat und dass er die Einwilligung widerrufen kann. Das Ablehnen darf keinen Aufwand erfordern oder höchstens eine Handlung, die so einfach ist wie die Einwilligung.
Die Empfehlung Nr. 2020-092 vom selben Tag, ein praktischer Leitfaden und keine verbindliche Regel, empfiehlt nachdrücklich zwei gleich gestaltete Schaltflächen auf demselben Bildschirm, etwa „tout accepter“ und „tout refuser“: Ein Klick zum Annehmen gegen mehrere zum Ablehnen verzerrt die Wahl.
Nachweis und Fristen
Sie müssen jederzeit eine wirksame Einwilligung nachweisen können (Artikel 7 Absatz 1 DSGVO), etwa durch Bildschirmfotos jedes Banners mit Zeitstempel. Die Wahl des Nutzers, Einwilligung oder Ablehnung, 6 Monate lang zu speichern, gilt als gute Praxis; Tracker zur Reichweitenmessung, die keiner Einwilligung bedürfen, sollten eine Lebensdauer von 13 Monaten haben, bei 25 Monaten Aufbewahrung der Daten. Diese Fristen sind Empfehlungen, nicht Inhalt von Artikel 82.
Muss Ihre Datenschutzerklärung auf Französisch sein?
Für ein französisches Publikum verfassen Sie sie auf Französisch und ergänzen zwei französische Angaben. Der Inhalt stammt aus der DSGVO, die Sprache und die Zusätze aus dem französischen Recht.
Was die Artikel 13 und 14 verlangen
Artikel 13 und 14 DSGVO (Stand: Oktober 2026) zählen auf, was Sie den Personen mitteilen, wenn Sie ihre Daten erheben, oder innerhalb eines Monats, wenn Sie die Daten anderweitig erlangt haben: Ihre Identität und Kontaktdaten, die Ihres Vertreters in der Union und Ihres Datenschutzbeauftragten, soweit vorhanden, die Zwecke und die Rechtsgrundlage, die Empfänger, Übermittlungen außerhalb der Union, die Speicherdauer, die Rechte und jede automatisierte Entscheidung. Artikel 12 verlangt eine klare und einfache Sprache.
Die Sprache und zwei französische Angaben
Die DSGVO schreibt keine Sprache vor. Artikel 2 des Gesetzes Nr. 94-665 vom 4. August 1994 (Loi Toubon) (Stand: Oktober 2026) macht Französisch verpflichtend für Bezeichnung, Angebot, Darstellung, Gebrauchsanweisung und Garantiebedingungen eines Produkts oder einer Dienstleistung, für Rechnungen und für Werbung. Eine Datenschutzerklärung, die den in Frankreich angebotenen Dienst einrahmt, gehört zu dieser Darstellung: Verfassen Sie sie auf Französisch, mit einer englischen Fassung für Ihre Mitarbeiter.
Zwei Angaben stammen allein aus dem französischen Recht: für Minderjährige Informationen in klaren und einfachen Worten (Artikel 45); für einen Online-Dienst, was mit den Daten der Nutzer bei deren Tod geschieht und dass sie eine Person bestimmen können, die diese Daten erhält (Artikel 85, III). Die Sprache Ihrer Verträge behandelt der Leitfaden für Geschäfte in Frankreich.
Brauchen Sie in Frankreich ein Verzeichnis und einen Datenschutzbeauftragten?
Ein Verzeichnis von Verarbeitungstätigkeiten fast immer, einen Datenschutzbeauftragten nur in den Fällen von Artikel 37.
Das Verzeichnis von Verarbeitungstätigkeiten und das Muster der CNIL
Artikel 30 DSGVO (Stand: Oktober 2026) verpflichtet jeden Verantwortlichen, und jeden Auftragsverarbeiter für das, was er für seine Kunden tut, zu einem schriftlichen Verzeichnis: Kontaktdaten, Zwecke, Kategorien von Personen und Daten, Empfänger, Übermittlungen, Löschfristen und, wenn möglich, die Sicherheitsmaßnahmen. Die Ausnahme für Einrichtungen mit weniger als 250 Beschäftigten entfällt, sobald die Verarbeitung nicht nur gelegentlich erfolgt, voraussichtlich ein Risiko birgt oder sensible oder strafrechtliche Daten betrifft.
Nach Lesart der CNIL deckt diese Ausnahme kaum mehr als eine einmalige Aktion ab. Sie veröffentlicht ein Musterverzeichnis als Tabellendatei und empfiehlt zwei Verzeichnisse, wenn Sie zugleich Verantwortlicher und Auftragsverarbeiter sind (Seite der CNIL, Stand: Oktober 2026). Das Verzeichnis ist intern, aber es ist das erste Dokument, das bei einer Prüfung verlangt wird.
Wann ein Datenschutzbeauftragter Pflicht ist und wie Sie ihn benennen
Artikel 37 DSGVO (Stand: Oktober 2026) verlangt einen Datenschutzbeauftragten bei öffentlichen Stellen, bei Kerntätigkeiten, die eine umfangreiche regelmäßige und systematische Überwachung von Personen erfordern, und bei Kerntätigkeiten, die in großem Umfang sensible oder strafrechtliche Daten verarbeiten. Das französische Recht fügt für private Unternehmen keinen Fall hinzu. Der Datenschutzbeauftragte, ein Beschäftigter oder ein externer Dienstleister, braucht die Fachkunde, die Mittel und die Unabhängigkeit, um zu handeln: die drei Voraussetzungen, deren Prüfung die CNIL von Ihnen erwartet.
Benennung, Ersetzung und Ende des Mandats laufen ausschließlich über den Online-Dienst der CNIL für Datenschutzbeauftragte (Seite vom 3. April 2026, Stand: Oktober 2026), dessen Formulare Ihre SIREN-Nummer abfragen. Der Datenschutzbeauftragte ist weder der Vertreter in der Union aus dem Leitfaden zu Artikel 27 noch eine Leistung von Concord.
Was verlangen Folgenabschätzung und Datenpannen in Frankreich?
Eine Folgenabschätzung vor jeder Verarbeitung mit hohem Risiko, mit einer französischen Liste von vierzehn Arten; eine Meldung an die CNIL möglichst binnen 72 Stunden.
Die Liste der CNIL mit vierzehn Verarbeitungsarten
Artikel 35 DSGVO (Stand: Oktober 2026) verlangt eine Datenschutz-Folgenabschätzung vor einer Verarbeitung, die voraussichtlich ein hohes Risiko zur Folge hat, und erlaubt jeder Aufsichtsbehörde, die Verarbeitungen aufzulisten, die stets eine erfordern. Die Liste der CNIL, Beschluss Nr. 2018-327 vom 11. Oktober 2018 (Stand: Oktober 2026), nennt vierzehn Arten, darunter Profiling im Personalwesen, die ständige Überwachung von Beschäftigten, Hinweisgebersysteme, Profiling, das eine Person von einem Vertrag ausschließen kann, und Standortdaten in großem Umfang.
Außerhalb der Liste wendet die CNIL die neun Kriterien des Europäischen Datenschutzausschusses (EDSA) an: Sind zwei davon erfüllt, ist eine Folgenabschätzung angezeigt. Sie beschreibt die Verarbeitung, wägt Notwendigkeit und Verhältnismäßigkeit ab, bewertet die Risiken und legt die Maßnahmen fest (Artikel 35 Absatz 7); an die CNIL geht sie nur, wenn das Restrisiko hoch bleibt, im Wege der vorherigen Konsultation nach Artikel 36.
72 Stunden für die Meldung an die CNIL
Artikel 33 DSGVO (Stand: Oktober 2026): Eine Verletzung des Schutzes personenbezogener Daten wird der zuständigen Behörde möglichst binnen 72 Stunden, nachdem sie bekannt wurde, gemeldet, es sei denn, sie führt voraussichtlich nicht zu einem Risiko; eine spätere Meldung nennt die Gründe für die Verzögerung. In Frankreich läuft die Meldung über den Online-Meldedienst der CNIL (Stand: Oktober 2026), der eine erste Meldung annimmt und später eine Ergänzung, sobald die Fakten bekannt sind.
Jede Datenpanne wird intern dokumentiert, ob gemeldet oder nicht. Ist das Risiko hoch, werden auch die betroffenen Personen informiert (Artikel 34); die CNIL kann dies auf Ihre Kosten anordnen (Artikel 20 und 22 des Gesetzes). Ein Auftragsverarbeiter meldet die Datenpanne Ihnen, nicht der CNIL, innerhalb der Stunden, die der Auftragsverarbeitungsvertrag festlegt.
Wie sanktioniert die CNIL, und was wird veröffentlicht?
Über zwei Verfahren, von denen nur eines eine namentliche Veröffentlichung kennt; beide enden auf der Website der CNIL.
Zwei Verfahren
Nach Artikel 22 des Gesetzes Nr. 78-17 (Stand: Oktober 2026) entscheidet die formation restreinte auf Bericht eines CNIL-Mitglieds, das ihr nicht angehört; Sie erhalten den Bericht und können sich beistehen oder vertreten lassen. Der Ausschuss kann seine Entscheidungen auf Ihre Kosten veröffentlichen und Ihnen aufgeben, jede betroffene Person zu informieren.
Artikel 22-1 (Stand: Oktober 2026) fügt ein vereinfachtes Verfahren vor dem Vorsitzenden des Ausschusses oder einem allein entscheidenden Mitglied hinzu, für Fälle ohne besondere Schwierigkeit: ein Bußgeld von höchstens 20.000 Euro und ein Zwangsgeld von 100 Euro pro Tag, erhöht auf 100.000 Euro und 500 Euro pro Tag bei einem weltweiten Umsatz von mehr als 50 Millionen Euro. Diese Entscheidungen dürfen nicht veröffentlicht werden.
| Wer entscheidet | Maßnahmen | Obergrenze | Artikel des Gesetzes Nr. 78-17 |
|---|---|---|---|
| Der Präsident der CNIL | Warnung, Erinnerung an die Pflichten, förmliche Aufforderung, gegebenenfalls öffentlich | Von ihm gesetzte Frist, 24 Stunden in dringenden Fällen | Artikel 20, I und III |
| Die formation restreinte | Verwarnung, Anordnung unter Zwangsgeld, Beschränkung oder Verbot, Aussetzung von Übermittlungen, Bußgeld, Veröffentlichung | Zwangsgeld bis 100.000 Euro pro Tag; Bußgeld bis zu den Obergrenzen von Artikel 83 DSGVO | Artikel 20, IV und 22 |
| Der Vorsitzende des Ausschusses allein, vereinfachtes Verfahren | Verwarnung, Anordnung, Bußgeld, nie veröffentlicht | Bußgeld 20.000 Euro und Zwangsgeld 100 Euro pro Tag; 100.000 Euro und 500 Euro pro Tag bei mehr als 50 Millionen Euro Umsatz | Artikel 22-1 |
Was die veröffentlichte Liste zeigt
Die Sanktionsseite der CNIL, aktualisiert am 14. April 2026 (Stand: Oktober 2026), führt jede Entscheidung seit Geltung der DSGVO nach Datum, Art der Organisation und Verstößen auf. In den ersten Monaten des Jahres 2026 stehen einige Bußgelder in Millionenhöhe gegen große Anbieter neben einer Mehrheit von Bußgeldern aus dem vereinfachten Verfahren über einige tausend Euro gegen kleine Unternehmen und Vereine, wegen der Information von Personen, Auskunftsersuchen, Videoüberwachung oder Cookies.
Die DSGVO-Prüfung von Concord gleicht Ihre Verarbeitungen mit der DSGVO und dieser französischen Ebene ab, erstellt das Verzeichnis und sagt, ob Sie eine Folgenabschätzung oder einen Datenschutzbeauftragten brauchen. Die Datenschutzerklärung und der Cookie-Hinweis, auf Französisch und Englisch, enthalten die Angaben und das Banner, die französische Nutzer und die CNIL erwarten. Zeigen Sie uns Ihre Website und Ihre Formulare. Die übrigen Datenschutzfragen, wenn Sie französische Kunden haben, behandelt der Leitfaden für Geschäfte in Frankreich.